如何在Oracle 11g中配置密码历史限制防止重复使用-Oracle-PHP中文网

oracle 11g 中 default profile 的 password_reuse_time 和 password_reuse_max 始终为 null 且硬编码禁用，修改无效；必须创建自定义 profile 并显式分配给用户，且两参数须一设值、一设 unlimited 才生效。

必须新建自定义 profile 并显式分配给用户，default profile 无法启用密码历史功能。

为什么直接改 DEFAULT profile 的 PASSWORD_REUSE_MAX 没用

Oracle 11g 中，DEFAULT profile 的 PASSWORD_REUSE_TIME 和 PASSWORD_REUSE_MAX 始终为 NULL，且不可修改。即使执行了 ALTER PROFILE DEFAULT LIMIT PASSWORD_REUSE_MAX 5，实际查询 dba_profiles 仍显示 NULL 或报错 ORA-28035 —— 因为这两个参数在 DEFAULT 中被硬编码禁用。

常见错误现象：

执行完 ALTER PROFILE DEFAULT 命令后，用户仍能立刻重用刚改过的密码
SELECT limit FROM dba_profiles WHERE profile = 'DEFAULT' AND resource_name = 'PASSWORD_REUSE_MAX'; 返回 NULL，而非你设的值

根本原因：Oracle 只在自定义 profile 中解析并生效这两个参数。

正确创建和绑定密码历史 profile 的步骤

创建 profile 时，PASSWORD_REUSE_TIME 和 PASSWORD_REUSE_MAX 必须互斥设置 —— 一个设为具体值，另一个必须是 UNLIMITED，否则会报 ORA-28035。

例如，要实现「180 天内不能重用旧密码」：

CREATE PROFILE app_sec_prof LIMIT PASSWORD_REUSE_TIME 180 PASSWORD_REUSE_MAX UNLIMITED;
ALTER USER scott PROFILE app_sec_prof;

再比如，要实现「最多保留最近 5 次密码，不限制时间」：

Crypto Sniper Oracle

机构级量化市场预言机，提供订单簿失衡（OBI）、VWAP分析、自动化报告及Telegram预警。

下载

CREATE PROFILE app_sec_prof LIMIT PASSWORD_REUSE_TIME UNLIMITED PASSWORD_REUSE_MAX 5;
ALTER USER scott PROFILE app_sec_prof;

注意：PASSWORD_REUSE_TIME 单位是天，支持小数（如 0.5 表示 12 小时）；设为 0 是非法值，会触发校验失败，报类似 ORA-28031 的误导性错误。

为什么用户改完密码还是能重用？排查这三点

profile 生效后，密码历史校验只在 ALTER USER ... IDENTIFIED BY 时触发，且依赖底层记录。容易踩的坑：

DBA 用 ALTER USER ... IDENTIFIED BY VALUES 强制设密码 → 完全跳过所有密码策略，包括历史检查
用户执行 ALTER USER ... IDENTIFIED BY 时，新密码和当前密码相同 → Oracle 默认允许（除非额外配置了 PASSWORD_VERIFY_FUNCTION）
profile 已切换，但用户尚未执行过一次合规的改密操作 → 密码历史表（内部 USER$ 相关字段）为空，无记录可比对

验证是否真有历史记录，可查 DBA_PASSWORD_HISTORY（需 DBA 权限），但要注意：该视图只存成功通过校验的改密事件，不是实时日志。